详解 TEE 中的安全存储 RPMB 机制：怎样防止 AI 模型被非法拷贝或被降级攻击

在将 AI 模型部署到车载、手机或工业网关等边缘设备时，由于设备处于物理开放环境，开发者常面临两大安全威胁：模型文件被克隆拷贝以及模型版本被恶意降级（Rollback Attack）。本文将深入讲解如何利用 TEE（可信执行环境）中的 RPMB（重放保护内存块）机制，从硬件层面构建 AI 模型的安全护城河。

一、 什么是 RPMB？

RPMB（Replay Protected Memory Block）是 eMMC 或 UFS 存储介质中的一个特殊分区。它与普通存储分区的最大区别在于：
1. 硬件绑定：在生产阶段，RPMB 会通过一次性编程（OTP）写入一个共享密钥（Authentication Key），该密钥仅由 SoC 的安全引擎和存储芯片持有。
2. 防重放攻击：每次写入操作都必须携带基于 HMAC-SHA256 的签名，且内部有一个不可逆增长的写计数器（Write Counter）。即便攻击者物理拷贝了整个存储镜像并回滚到旧状态，也会因为计数器不匹配而被硬件拒绝访问。

二、 防拷贝与防降级的核心逻辑

为了保护 AI 模型，我们不能仅靠文件系统加密，必须结合 TEE 和 RPMB 形成闭环：

1. 模型加密存放在普通分区：AI 模型使用 AES-256-GCM 加密，存放在外存。
2. 解密密钥存放于 RPMB：解密模型所需的 Key 存储在 RPMB 中。由于 RPMB 无法被 SoC 外部直接读取，攻击者即使拷贝了模型文件，也拿不到解密密钥。
3. 版本索引存放在 RPMB：将模型的 Version ID 存入 RPMB。推理引擎启动前，TEE 会比对模型头部的版本号与 RPMB 中的版本号。如果发现模型文件被替换为旧版本（存在已知漏洞的版本），TEE 将拒绝加载，从而防止降级攻击。

三、 实操示例：在 OP-TEE 中操作 RPMB 存储模型元数据

在 TEE 环境下，我们通常通过标准的安全存储接口访问 RPMB。以下是一个基于 OP-TEE 可信应用（TA）的 C 语言示例，展示如何安全地读写模型版本号。

#include <tee_internal_api.h>
#include <tee_internal_api_extensions.h>

#define STORAGE_ID_MODEL_META TEE_STORAGE_PRIVATE_RPMB_INDEX

// 存储模型元数据（如版本号和密钥索引）
TEE_Result secure_save_model_version(uint32_t version) {
    TEE_ObjectHandle object;
    TEE_Result res;
    uint32_t obj_id = 0x12345678; // 自定义对象ID

    // 创建/打开受 RPMB 保护的安全存储对象
    res = TEE_CreatePersistentObject(STORAGE_ID_MODEL_META,
                                     &obj_id, sizeof(obj_id),
                                     TEE_DATA_FLAG_ACCESS_WRITE | TEE_DATA_FLAG_OVERWRITE,
                                     TEE_HANDLE_NULL, NULL, 0, &object);
    if (res != TEE_SUCCESS) return res;

    // 写入当前版本号，由 RPMB 硬件保证其不会被非法回滚
    res = TEE_WriteObjectData(object, &version, sizeof(version));
    TEE_CloseObject(object);
    return res;
}

// 读取并校验版本
TEE_Result secure_verify_model_version(uint32_t current_model_version) {
    TEE_ObjectHandle object;
    TEE_Result res;
    uint32_t obj_id = 0x12345678;
    uint32_t stored_version;
    uint32_t read_bytes;

    res = TEE_OpenPersistentObject(STORAGE_ID_MODEL_META,
                                   &obj_id, sizeof(obj_id),
                                   TEE_DATA_FLAG_ACCESS_READ, &object);
    if (res != TEE_SUCCESS) return res;

    res = TEE_ReadObjectData(object, &stored_version, sizeof(stored_version), &read_bytes);
    if (res == TEE_SUCCESS && current_model_version < stored_version) {
        // 检测到降级攻击！
        res = TEE_ERROR_SECURITY;
    }

    TEE_CloseObject(object);
    return res;
}

四、 部署建议

1. 硬件初始化：在设备出厂前，必须在安全产线完成 RPMB Key 的烧录（Provisioning），否则 RPMB 处于不可用状态或存在被第三方占用的风险。
2. 离线加解密：切勿在 Android/Linux 等非安全侧直接处理模型原始密钥。所有的加解密操作应在 TEE 内部完成（如使用私有 API 调用 SoC 的硬件加解密引擎），推理框架只需向 TEE 请求解密后的内存 buffer。
3. 配合国产芯片适配：目前主流国产 AI SoC（如瑞芯微 RK3588、全志等）均已支持 OP-TEE 结合 RPMB 的方案，开发者应优先调用厂商提供的 Secure Storage 接口。

五、 总结

通过将 AI 模型的逻辑控制点（密钥和版本号）下沉到 TEE+RPMB 体系中，我们可以将 AI 资产的安全性从纯软件层提升到硬件级别。这不仅解决了模型被简单拷贝的问题，更针对性地防御了通过替换存储介质发起的降级攻击，是端侧 AI 商业化部署的必备技术路径。